Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

hatten. Ziel von Angriffen waren insbesondere Telekom-Kunden. Die Angreifer benutzten
gewöhnliche Netwerkscanner, die große Bereiche von den DIAL-IN IP-Adressen von
Providern nach bestimmten Ports abscannten (137-139). Diese Werkzeuge überprüften
auch, ob die Festplatte c: beschreibbar war oder nicht. So gelingt es auch heute noch,
innerhalb weniger Minuten eine große Anzahl von möglichen Opfern mit BO zu infizieren.
Da die Arbeitsstationen einen Neustart durchführen müssen, verliert sich deren IP -
Nummer. Deswegen muß der Angreifer die sich neu eingewählenden Rechner mit einem
BO-Scanner auf das Vorhandensein von BO erneut scannen. Danach kann der Angreifer
mit automatisierten Werkzeugen alle .doc - Dateien aus dem Verzeichnis
c:\eigene_dateien o.ä. Auf einen Internet-Server kopieren, in ASCII umwandeln und nach
bestimmten Begriffen durchsuchen, z.B. einem Firmennamen oder typischen Floskeln, wie
sie im geschäftlichen Briefverkehr benutzt werden. Diese Arbeitsstation schaut sich der
Angreifer dann genauer an und versucht, auf anderen Laufwerksbuchstaben .doc
Dateien zu finden. Die Wahrscheinlichkeit, daß ein Angreifer , von irgendeiner Firma
plötzlich sämtliche Dokumente des Chefs oder der Sekretärin auf seiner Festplatte hat, ist
äußerst hoch. Ein Surfer kann sich nicht mehr in der Anonymität der unzähligen DIAL-IN
Netzwerkadressen großer Provider verstecken. Das große Problem bei BO ist, daß es mit
124 KByte relativ unauffällig ist, und zudem im Taskmanager nicht erscheint. Einige BO-
Scanner, die man im Internet findet, sind in Wirklichkeit BO - Installationsprogramme. BO
und sein Bruder NetBUS sind inzwischen im Quellcode verfügbar und funktionieren
inzwischen über Firewalls hinweg, sofern diese von UDP auf TCP Protokoll
umgeschrieben wurden. BO Scanner finden nur den ursprünglichen BO.EXE, nicht aber
die neukompilierten Derivate von BO.
23.17 Probleme beim Download von Software aus dem Internet
Als erste Regel gilt: Niemals Software oder Updates aus einer nicht vertrauenswürdigen
Quelle herunterladen. Problematisch wird diese Aussage, wenn man sich bewußt macht,
daß alle großen und kleinen Anbieter aus Kostengründen mit (transparenten) PROXY-
CACHES arbeiten, deren Anwesenheit gar nicht mehr zu bemerken ist (CISCO SILENT
PROXY, SQUID im "silent mode"). Da dieser PROXY ja nur frei zugängliche Daten aus
dem Internet zwischen speichert, legen die Systemoperatoren auch keinerlei Wert auf die
Absicherung dieses Servers gegen Angreifer. Abgesehen davon ist dieser PROXY-Server
auch nicht durch eine Firewall zu sichern, da einfach zu viele Verbindungen zu
kontrollieren wären. Die Performance würde arg leiden. Angreifer machen sich diese
Tatsache dadurch zunutze, indem sie die PROXY-CACHE S mit manipulierten
Treibern/Updates/Software füttern und somit ganz sicher sein können, daß der
Systemoperator auch garantiert eine Version erhält, die seinen Server
sicherheitstechnisch in Mitleidenschaft zieht, oder die Firewall von innen "pierct".
24. Trojanische Pferde der gemeinen Art
Für die Sicherheit eines Unternehmens ist es enorm wichtig, daß keinerlei Informationen
über die Firewall in das Internet versendet werden. Schwierig wird es, wenn man
Anwendungsprogramme danach beurteilen soll, ob und wie sie Informationen über z.B.
den WWW-Proxy oder das e-Mail Gateway in das Internet versenden. Grundlage ist stets
die Vertrauenswürdigkeit der Softwarequelle. Wie im Januar 1998 aufgedeckt wurde, hat
ein Cracker in die Site von Wietse Venema der Universität Eindhoven eingebrochen, und
den TCPWRAPPER, ein wichtiges Sicherheitswerkzeug zur Absicherung von vielen UNIX-
Derivaten mit einem schwierig zu entdeckendem Zugangstor zum System versehen. Der
Cracker hätte sich somit stets als Supervisor in das System einloggen können. Leider
wurden auch die Prüfsummen (MD5) mit angepaßt, sodaß auch die übliche Überprüfung
des MD5 Schlüssels keine Sicherheit mehr hätte garantieren können. Nur der Autor des
Programmes war in der Lage, diesen Einbruch und die Veränderungen zu entdecken. Da
beim Download aus dem Internet für einen Systemadministrator weder erkennbar ist, ob
und wie der WWW-Server abgesichert ist, und ob deren Inhalte auch unversehrt sind,
Erstellt von Doc Gonzo - http://kickme.to/plugins